［摘要］ 刑法介入数据犯罪治理，亟需厘清罪与非罪、罪轻与罪重的边界。以网络爬虫行为为切入点，现行《刑法》存在以信息数量、计算机信息系统数量或财产数额替代数据犯罪罪量评估的缺陷，难以准确反映行为对数据安全的侵害程度。对此，应以数据安全分级保护理念为核心，实现从概括规制向分级规制的转型。在刑法体系内部，设立“破坏数据防护措施罪”，以预备行为正犯化模式保护核心数据安全；设立“破坏数据安全罪”，将数据从计算机信息系统中剥离，并以差异化的刑罚配置实现对核心数据、重要数据与一般数据的梯度化保护，从而化解数据犯罪治理困境，平衡数据安全保护与数字经济发展的关系。

［关键词］ 数据犯罪；数据分级；数据安全；非法获取计算机信息系统数据罪

一、问题的提出：网络爬虫行为暴露的规制困境

在大数据与人工智能时代，数据已成为关键生产要素，与此同时，针对数据的犯罪不断蔓延，各类数据安全问题层出不穷。习近平总书记强调：“要切实保障国家数据安全。”刑法作为社会治理的最后手段，历来是防控风险的重要工具。然而，与前置法有条不紊的立改废相比，面对日益猖獗的数据犯罪，刑法的滞后性逐渐凸显。数据犯罪作为新型犯罪，其成立边界难以把控；加之数据本身具有载体属性，侵犯数据安全的社会危害性随数据内容的变化而不同，导致甄别刑事违法性界限、判断刑法介入程度成为司法实践中的难题。

以网络爬虫行为（即利用程序、软件等工具从网站、APP、搜索引擎中自动抓取数据的行为）为例，当前司法规制逐步由民事领域转向刑事领域，但《刑法》在具体罪与非罪、罪轻与罪重的判断上却力有不逮，集中表现为三类罪量评价模式的缺陷：

第一，以“计算机信息系统数据”为对象的评价模式难以覆盖新型数据形态。 根据《刑法》第285条，非法获取计算机信息系统数据罪的犯罪对象被限定为“计算机信息系统中存储、处理、传输的数据”。这一表述将数据的外延狭隘地捆绑于封闭的计算机数据库，无法涵摄脱离计算机信息系统的数据。例如，物联网核心技术RFID（射频识别）系统中的电子标签通过无线信号在阅读器之间传输数据，并未直接涉及数据处理，难以被认定为“计算机信息系统”；加之RFID信号发射具有公开性和接收方不确定性，不符合“传输数据”的目的性、非公开特质。因此，爬取RFID系统中的数据无法被解释为非法获取计算机信息系统数据行为，罪质与罪量均无法得到评价。

第二，以“信息数量”替代数据犯罪社会危害性的评价过于片面。 《最高人民法院、最高人民检察院关于办理危害计算机信息系统安全刑事案件应用法律若干问题的解释》（下称《危害计算机信息系统安全解释》）第1条将非法爬取数据入罪的标准设定为获取一定数量的“身份认证信息”。然而，数据与信息虽常被混用，本质上却存在区别：数据是信息的载体，既包括可还原为信息的数据，也包括无法还原为信息的原始数据。原始数据作为数据交换的原始产物，经清洗、脱敏、计算、聚合后可提炼为衍生数据，具有独立保护价值。但原始数据本身不具备承载信息的直接功能，无法被还原为“身份认证信息”；同时，“身份认证信息”的外延也限制了本罪对网络账户密码、行踪信息等数据的保护。简言之，以信息数量为标准评价数据犯罪的社会危害性有失偏颇。

第三，以“经济损失或违法所得”为标准的评价体系不周延。 《危害计算机信息系统安全解释》第1条第4项以违法所得或经济损失作为补强标准，但数据作为载体，上可承载国家安全、公共安全，下可包含公民个人隐私。实践中，国家安全、公共安全乃至个人隐私受损，并不能直接体现为经济损失或违法获利。例如，间谍组织非法爬取原始数据，经分析提取后形成危害国家安全的信息，虽未获利也未造成直接经济损失，却侵害了国家安全法益。按照现行标准，该类行为无法被认定为犯罪。可见，以财产性指标评价数据犯罪罪量，无法周延评价所有类型的数据犯罪。

上述三类缺陷的根源在于未能认清数据本身的特殊性——数据的复合性与共享性决定了其法益内容多元、危害程度各异。仅依靠《民法》《行政法》难以实现对数据犯罪的有效规制，而刑法若不加区分地全面介入，又会不当压缩数据共享空间。因此，如何评判非法获取数据行为的社会危害性、确定危害数据安全的罪质与罪量，成为数据犯罪治理的关键。以信息数量、计算机信息系统数量或财产数额代替数据犯罪罪量评估的做法，已难以为继。刑法介入数据安全保护，应当以分级保护理念为出发点，通过对数据进行分级，合理界定保护等级，推进数据安全保护的精细化与规范化。

二、理念转型：从概括规制到分级规制

面对数据犯罪行为方式多样、危害后果严重、法益纠缠复杂的治理难题，学界多主张设立独立的数据犯罪，将数据安全作为独立法益在《刑法》中固定。但对于具体罪名设置，观点纷呈：有主张增设“妨害数据信用罪”“妨害数据流通罪和非法分析数据罪”者，亦有建议增设“非法持有、提供数据罪，破坏数据罪，拒不履行重要数据安全保护义务罪”者。上述观点虽认识到当前治理的局限，却忽视了数据的特性，本质上是一种企图以单一罪名解决所有问题的“概括保护”，存在双重缺陷：

一方面，概括保护易导致刑法过度介入。数据作为载体，上至国家安全、下至个人隐私，内容跨度极大。刑法作为保障法，具有与生俱来的严厉性。若将全部数据不加区分地纳入刑法规制，不仅违背谦抑性原则，更会因数据共享受限而掣肘数字经济发展——大量处于罪与非罪边缘的数据爬取行为一旦一律入罪，将直接阻碍数据流动。

另一方面，概括保护无法从根本上解决罪量评估难题。平面化的保护模式侧重于“行为”而非“结果”，即便采取情节犯模式，由于学界普遍认为数据犯罪保护的是抽象法益或秩序法益，加之网络空间的虚拟性与技术性，若定罪量刑标准仍设置为模糊的“情节严重”或“严重后果”，将不可避免地导致司法适用的“口袋化”。不同数据所蕴含的法益性质与重要性差异显著，对其保护手段理应有所不同。

因此，应当实现从概括规制向分级规制的理念转型，以数据安全分级保护理念为核心，构建分级规制体系。分级规制与数据的两大特性高度契合：

（一）分级规制与数据复合性的契合

数据应用已渗透至社会各个层面，其载体性质决定了数据安全与国家安全、公共安全、公民个人隐私高度关联。同一类数据爬取行为，因数据库不同，对法益的侵害可能天差地别。面对这一无所不包的特殊客体，任何单一部门法的治理思路都是片面的。数据安全分级理论通过对数据内容进行识别，依据数据与国家安全、经济运行、社会稳定、公共利益、组织权益之间的关系，确定数据的具体价值与等级。借助分级结果，若数据级别较低且破坏行为不具有严重社会危害性，可将保护任务交予行政法、民法，避免刑法过度扩张；只有当破坏行为的社会危害性达到足够严重程度时，刑事处罚才介入。分级理念所蕴含的法益识别功能，能够帮助刑法准确定位法益，为数据犯罪的罪质界定与罪量评价提供参考标准，是刑法介入数据安全保护的最佳路径。

（二）分级规制与数据共享性的契合

数据的共享性源于其非竞争性与规模报酬递增效应。数据流动过程中，提供者不会因促成流动而减损自身使用权；数据的非竞争性使边际成本趋近于零，表现出显著的规模经济特征。《数据安全法》第7条亦强调数据流动的重要性。保护数据安全是促进数据流动的前提，数据流动则是保护数据安全的意义所在。然而，2019年以来多家大数据公司因风险防范而暂停业务，折射出刑法过度介入可能强化“数据寡头”优势、阻碍数字经济发展的现实困境。

在此背景下，对数据犯罪一律严厉打击会因保护过严影响数据使用，而仅用行政法保护又可能因力度不足难以遏制严重危害行为。建立数据安全分级保护体系，通过分级实现区分保护：对普通侵犯数据安全的行为，刑法保持谦抑，交由行政法、民法规制；对造成严重危害的数据犯罪，则纳入刑法规制。这种差别化、梯度化的治理方案，既体现了对数据要素内在特性的科学认知，又能降低企业竞争风险，有效平衡风险管理成本与数据利用效益，为数据产业可持续发展奠定基础。

三、分级标准的确立：以社会危害为核心

数据分级是集中化、专业化、标准化数据管理的前提，也是构建科学完善的数据保护法律体系的基础。本文认为，《刑法》中的数据安全分级应当采用《数据安全法》的分级方法，以数据遭受损害的后果为标准，将数据分为一般数据、重要数据和核心数据，实行区别保护。

（一）承接前置法的分级框架

《数据安全法》作为我国数据安全领域首部基础性法律，其提出的数据分级规则具有体系上的重要性与内容上的合理性。该法统筹了原先散落的数据分级办法，在上位法层面固化了数据分级制度，明确了核心数据与重要数据的概念，强化了数据作为独立要素的价值。在刑法中采取与《数据安全法》相同的分级体系，是法秩序统一性原则的必然要求。“所谓法秩序统一，是指由宪法、民法、刑法等多个法领域构成的法秩序之间不相互矛盾。”刑法要参与数据安全保护，只有承接《数据安全法》中一般数据、重要数据、核心数据的保护框架，才能真正为数据安全治理托底，维护数据基础制度，发挥保障法的作用，实现各部门法规范价值评价的统一。

（二）以社会危害为核心的分级标准

尽管《数据安全法》给出了核心数据的定义，但理论与实践中对于核心数据与重要数据的界分尚无定论。大量法律、行政法规、部门规章对二者定义往往相似且通用，更多是将“核心数据”“重要数据”作为强调数据“重要性”的形容词，而非已形成实际意义的数据级别。试图以概念为指引的数据分级办法显然行不通。

核心数据与重要数据泛指可能涉及国家安全、公共安全的数据，二者的界限应当结合数据安全的社会危害具体问题具体分析。从立法脉络来看，重要数据首次出现于《网络安全法》，但其前身是《网络安全法（草案）》三审稿中的“重要业务数据”，最终发布时删去了“业务”二字。此后，《数据出境安全评估办法》从社会危害的角度对重要数据作出界定。这一变化说明，立法者已摈弃传统的数据分级思路，转向结果导向的分级思路——即从数据所影响的价值入手，而非基于组织内部业务标准分类。对《数据安全法》出台后所有涉及数据安全分级的规范性文件进行分析，亦可发现数据的分级标准始终站在数据背后的重要价值层面。因此，以数据遭受侵害的后果为标准进行分级，不仅合理有效，更得到了前置法的承认。

（三）通过影响对象与影响程度界定社会危害

评估数据犯罪的社会危害是数据安全分级的前提，可从影响对象与影响程度两个方面将其具象化：一方面，预估数据犯罪指向的对象（如国家安全、社会稳定、公共利益、组织权益、个人权益等），初步定性；另一方面，关注行为对上述对象的影响程度（如特别严重危害、严重危害、一般危害），定量评价。采取先定性后定量的方式，综合评估社会危害性，进而定级并确定罪名。《数据安全技术 数据分类分级规则》中规定的数据安全分级保护依据，对刑法中的数据安全分级具有借鉴意义（参见表1）。

评价行为的社会危害，既要关注犯罪客体，也不能忽视对该客体的侵害程度，综合考虑才能客观评价。对数据分级亦应遵循同样原则：既要评价数据安全遭受破坏后可能影响的对象，也要考虑行为对该对象的影响程度。同一类别的数据，因侵害程度不同可能处于不同保护等级；不同类别的数据，虽法益内容有别，但在遭受同等程度侵害时，也可能处于相近等级。对数据安全进行分级保护，应当以数据受到破坏后产生的社会危害为核心，综合确定不同等级并采取不同保护方式。

（四）明确分类不是分级的前提条件

有观点认为数据分级需先分类再分级。但在刑法中，分级分类并非目的，确定侵犯不同级别数据的罪质与罪量才是分级想要实现的效果。刑法对数据分级的唯一依据是数据犯罪的社会危害，而评估社会危害只能从行为可能损害的对象及对该对象的损害程度两方面进行。

需要澄清的是，本文所言的“影响对象”并不等同于数据的本质内容，并非对数据进行分类。数据分类是通过明确数据的本质、属性、权属等确定所属类别；而“影响对象”是指数据一旦遭受泄露、篡改、破坏，可能对某一类对象的利益或权利产生的影响。多数情况下，数据的性质决定了破坏后可能产生的影响，如个人支付信息通常仅与个人权利相关。但由于数据具有大量性、高速性、多样性、价值性，当数据库达到一定量级时，通过不同的算法提炼、内容挖掘可能产生不同价值。例如，滴滴公司APP收集的海量用户数据，从指向内容看涉及个人信息、商业秘密或知识产权，但当个人位置信息、行程信息达到一定精度、规模或深度后，对该数据库进行分析可能形成对公共安全甚至国家安全产生不利影响的信息。再如，单个个人生物信息属于个人权益，但对全国个人生物信息库进行挖掘则可能发现某一国家公民共同的生物特征。因此，这类数据库一旦遭到破坏，可能产生危害公共安全的后果。

进言之，数据的性质不能决定数据的级别，二者属于不同维度的评价标准，数据安全分级不以数据分类为前提。数据分级应遵循结果导向原则，重点关注数据受到破坏后可能造成的影响，而非数据本身的内容。据此，在刑法中建立分级体系时，应立足法秩序统一原则，坚持核心数据、重要数据、一般数据的分级框架，贯彻以社会危害为核心的分级标准，通过影响对象与影响程度判断数据级别，构建兼具实用性与理论性的分级体系。

四、实现路径：数据犯罪分级规制的体系建构

为回应数据犯罪治理需求、化解罪质与罪量评估难题，应当借助数据分级保护理念，确立分级规制标准，并在刑法体系内部形成一般数据、重要数据、核心数据的分级保护体系。具体应从三个方面构建数据安全刑法分级保护体系：一是发挥数据分级的滤罪功能，确定数据犯罪的规制对象；二是以预备行为正犯化模式保护核心数据安全；三是设立“破坏数据安全罪”，将数据从计算机信息系统中剥离，实现差异化保护。

（一）发挥数据分级的滤罪功能，限定犯罪圈

刑法介入数据安全保护是有限的。一方面，在行政法、民法领域，对一般数据的具体保护规定尚不充分。《数据安全法》仅在第32条笼统规定获取数据应采取适当、合法方式；《网络安全法》《个人信息保护法》强调涉及个人信息需重点保护，但未提及匿名数据的特别保护；《数据安全技术 数据分类分级规则》亦缺乏对一般数据的详尽关注。在行政法规尚未对一般数据进行明确、详尽保护的背景下，刑法没有必要将所有一般数据全部纳入保护范围。

另一方面，并非所有数据都值得刑法保护。虚假数据、超过时效的一般数据被损坏后不会产生危害社会的后果。若将本罪设立后将所有一般数据纳入刑法保护范围，难免将许多不具有社会危害性、未造成损害的行为纳入处罚范围，导致本罪面临“刑法万能主义”的质疑。

对此，应当发挥数据分级的滤罪功能，确定数据犯罪的规制对象。具体而言，仅对个人权益、组织权益造成一般危害，且危害程度通常局限于“个人信息主体可能遭受困扰但尚可克服”或“导致个别诉讼事件、部分业务中断，使组织经济利益、声誉等轻微受损”的侵害行为，不应被划入犯罪圈。刑法惩罚、预防的是具有严重社会危害性的行为，窃取、破坏、增加、删减一级或二级一般数据所产生的社会危害，尚达不到需刑事处罚的程度。只有当危害一般数据安全的行为产生严重危害个人权益、组织权益及以上的后果（如导致组织遭到监管部门处罚、业务无法正常开展，或个人信息主体遭受诈骗、被银行列入黑名单等）时，其社会危害性才达到利用刑法惩处的标准。这一思路与当前实践中对数据类犯罪的惩处步调一致——无一不是在产生数据安全危害结果的基础上进行。对一般数据采取不完全保护的思路，既是社会治理与社会控制的需要，也是对刑法谦抑精神的遵循。

（二）以预备行为正犯化模式保护核心数据安全

核心数据涉及国家安全、重大公共利益，必将设置严密的防护措施。在核心数据特殊保护方面，应当采取预备行为正犯化的立法方式，在《刑法》第285条非法侵入计算机信息系统罪之后，增设“破坏数据安全防护措施罪”，将破坏核心数据安全的预备行为纳入刑法规制。

1. 设立“破坏数据安全防护措施罪”的必要性

第一，核心数据风险具有特殊性。 进入数字社会以来，核心数据安全面临的侵害日益严重。事后惩治模式以确认法益侵害结果存在为前提，但核心数据安全风险是风险社会中典型的非传统安全威胁，波及面更广、危害性更大、不确定性更强。一旦产生现实危害结果，后果将是灾难性的。即使将针对核心数据的犯罪定性为行为犯，由于数据犯罪具有瞬时性特征，同样无法阻止犯罪结果的发生与扩散。与其等到核心数据遭受破坏、危害结果扩散，不如通过预备行为实行化，将具有严重社会危害性的威胁核心数据安全的预备行为直接定性为实行行为，在实害现实化之前的风险形成阶段即进行预防性规制。

第二，核心数据具有体系上的重要性，需要刑法提前介入。 核心数据安全涉及国家安全、国民经济建设、重大公共利益，对其危险的防范应当更加严密。国家治理的重点应从仅关注实害惩治转向风险预防与实害惩治并重。在“附加严格限制条件的情况下超前防御，把某些特殊的、影响严重的、未造成‘实害’的行为独立设置为罪”，方能实现罪刑均衡。

第三，本罪是对非法侵入计算机信息系统罪的承继与更新。 从犯罪对象看，本罪旨在保护核心数据安全，其外延包括“国家安全、国民经济命脉、重要民生、重大公共利益”，在与原非法侵入计算机信息系统罪保护的国家事务、国防建设和尖端科学领域数据高度重合的基础上，增加了对公共数据的保护，化解了原罪对数据安全保护的片面性。从犯罪手段看，随着数据与计算机信息系统相互剥离，侵入计算机信息系统已非破坏数据安全的前置行为，侵犯核心数据安全的前置行为已转变为侵犯数据保护措施。因此，规制重点应从计算机信息系统转向数据安全防护技术，将非法侵入计算机信息系统行为修改为破坏数据安全防护技术，既是科技发展引导立法回应的必然选择，也是大数据时代提前保护核心数据的应有之义。

2. “破坏数据安全防护措施罪”的罪状描述

数据安全防护措施可分为三类：事前防护技术（如安全加密技术、访问控制技术）、事中防护技术（如防泄露技术、数据流向分析与限制技术）和事后防护技术（如安全审计技术）。本罪旨在提前预防，将刑法介入时机适度前移，化解重大核心数据安全风险于源头。因此，本罪是典型的预备行为实行化犯罪。

破坏安全加密技术、访问控制技术等事前防护技术是访问数据的必经前置行为，应成为本罪的客观构成要件。防泄露技术等事中防护技术虽不能直接阻断访问数据库，但破坏该技术是传输、获取数据的必经之路，亦可成为本罪的犯罪对象。事后防护技术仅用于追踪数据，无法起到真正“防护数据”的作用，不应纳入本罪。

数据安全保护措施种类多样，破坏行为亦呈现多样化态势，但最终均以访问、获取数据为目的。因此，罪名设置宜采取简单罪状，以数据安全防护技术为犯罪对象，将所有破坏数据防护措施的行为囊括在内。综上，破坏数据安全防护措施罪，是指违反国家规定，破坏核心数据事前、事中安全防护技术的行为。

（三）设立“破坏数据安全罪”，完善罪名体系

解释路径并非应对网络犯罪的唯一路径，在解释方法与结论违反罪刑法定原则的情形下，只能采取立法路径，即修改《刑法》增设新类型的犯罪。增设“破坏数据安全罪”是化解数据安全与计算机信息系统安全混同保护的唯一路径。本罪的行为方式应包括非法获取数据的行为，以及侵犯数据完整性、可用性的行为。

1. 设立“破坏数据安全罪”的必要性

网络爬虫行为反映出非法获取计算机信息系统数据罪中数据与计算机信息系统混同保护的普遍性问题：当爬虫爬取的数据不包含身份认证信息、公民个人信息、财产信息等内容时，其行为不会侵害数据防护体系动态安全。实质上，所有数据犯罪均存在类似问题。《危害计算机信息系统安全解释》第4条第2款将破坏计算机信息系统罪的客观行为方式之一定义为对“二十台以上的计算机信息系统中存储、处理或者传输的数据进行删除、修改、增加操作”。但一方面，计算机信息系统数据不等于数据，脱离计算机信息系统载体后，破坏网络数据的行为存在规制漏洞；另一方面，从破坏计算机信息系统罪的设立目的看，其最终保护的是计算机信息系统的安全运行而非附属数据安全，在行为未对系统安全运行造成影响时，将“修改、删除、增加”数据的行为认定为该罪，既违背文义解释，更与该罪初衷背道而驰。

实践中，大量破坏数据安全的行为被类推解释为破坏计算机信息系统罪，恰恰证明了设立“破坏数据安全罪”的必要性与合理性。同时，司法实践也将不应成立非法获取计算机信息系统罪的获取网络数据行为以类推方式纳入规制。例如全国首例非法获取微信公众号案，根据相关规定，计算机信息系统具有实物性特质，但实务中却认为只要具有数据功能，表现形式并不关键。这种扩大解释乃至类推解释的做法，虽满足了治理需求，却难掩突破罪刑法定原则的本质，如同“饮鸩止渴”。与其放任类推解释面临正当性考问，不如直接设立“破坏数据安全罪”，将司法实践的扩张做法予以合理化。

2. “破坏数据安全罪”的罪状描述

其一，非法获取数据的行为。 本罪与非法获取计算机信息系统数据罪行为方式具有相似性，建议将非法获取计算机信息系统罪的罪状修改为本罪的行为方式之一，实现数据保护的周延性。具体而言，应将犯罪对象由“计算机信息系统中存储、处理、传输的数据”修改为“数据”，并删去“非法侵入计算机信息系统”的表述。一方面，网络数据的范畴已远超计算机信息系统数据，删除“计算机信息系统存储、传输、处理”的限定，既能切分数据安全与计算机信息系统安全，改变二者混同保护的现状，又符合刑法用语简练、明确的原则。另一方面，“非法获取”旨在保护数据的保密性，获取数据并不一定需要“侵入行为”；数据范围的扩大意味着侵入计算机信息系统不再是非法获取数据的必经阶段，从周延保护角度出发，应将“非法侵入计算机信息系统”这一要素删除。

其二，侵犯数据完整性、可用性的行为。 此类行为是指删除、增加、修改数据的排列顺序，导致其无法被及时有效获取与使用。实践中，侵犯数据可用性的典型行为是“流量劫持”。在设立本罪之前，“流量劫持”等擅自改变数据流向的行为多被定性为破坏计算机信息系统罪，但实际上其修改了数据流动中产生的工具性数据，改变了数据的正常流动方向，导致数据控制者无法正常浏览目标页面，属于损害数据可用性的行为，与计算机信息系统无关，应成立破坏数据安全罪。需要注意的是，删除、增加、修改行为应以数据的完整性、可用性为中心，未侵害该属性的行为不应被评价为本罪。例如在全国首起“干扰环保监测系统案”中，被告人李某用棉纱堵塞采样器，干扰了系统正常数据采集，但数据本身不存在，不属于对数据的删除，无法构成破坏数据安全罪。

3. 以刑罚配置实现数据区分保护

罪责刑相适应原则不仅指导司法实践定罪量刑，更影响立法者对新型犯罪治理方案的设定。数据安全分级保护思维除体现于对核心数据的特别保护外，还应体现于不同数据级别的刑罚配置上。数据安全的内涵在不同级别数据中完全相同，均落脚于对数据保密性、完整性、可用性的损害。因此，破坏数据安全的实行行为只能针对这三个层面展开，无法从行为方式上对三个级别的数据进行区分保护，只能依托刑罚的轻重体现分级思路。

具体而言，应在“破坏数据安全罪”内部，依据数据级别的不同，将刑罚设置为三档，分别对应核心数据、重要数据和一般数据，形成轻重衔接的分级保护方案：

一般数据的刑罚配置应当相对轻缓。 一般数据通常涉及个人权益、组织权益、公共利益，且只有“对公共利益造成一般危害”才可被认定为一般数据。破坏一般数据并不直接关系社会稳定、经济运行与国家安全，社会危害相对有限，刑罚应相对较轻，以符合罪责刑相适应原则。同时，将一般数据纳入刑法保护，目的更多在于发挥刑法的行为指引机能和一般预防机能，表明刑法对数据安全的重视，而非单纯惩罚。

重要数据的刑罚配置应当相对严厉。 侵害重要数据可能危害国家安全、经济运行、社会稳定和公共利益，具有较为严重的社会危害性。重要数据在分级体系中具有“承上启下”的作用，其保护应在一般数据保护措施的基础上进一步严格化，刑罚配置应与之匹配。

核心数据的刑罚配置应当最为严厉。 核心数据一旦遭到破坏，可能严重危害国家安全、经济运行、社会稳定、公共利益。依据罪责刑相适应原则，应为破坏核心数据安全的行为设置严格的法定刑。基于系统性保护立场，其社会危害性应与危害国家安全类、危害公共安全类罪名相当，应采取相似且严厉的刑罚配置。核心数据作为数据安全最为关键的一环，理应得到最严格的保护。

五、结语

我国数字经济已走在世界前列，通过立法手段严密刑事法网具有必然性。网络爬虫行为揭示了当前数据犯罪治理中罪质与罪量评估的困境。正确对待破坏数据安全的行为，准确区分罪与非罪、罪轻与罪重，是刑法满足数据安全风险防范需求与数字经济平稳快速增长的关键。以数据分级理念为抓手，考量破坏数据安全所带来的后果与影响，形成社会危害与数据级别相对应的分级标准，是刑法介入数据犯罪治理的前提。在刑法内部形成一般数据、重要数据、核心数据区分保护的规制模式与罪名体系，落实前置法分级保护要求，是刑法介入数据犯罪治理的合理路径。面对日益猖狂的数据犯罪新趋势，唯有保持敏锐、以发展的眼光看待不断迭代的犯罪形态，寻求最科学合理的应对方式，才能在保障数字经济稳定、健康、可持续发展的前提下，完成对数据安全的周延保护。